Penetrační testy s doloženým dopadem.
Webové a mobilní aplikace, infrastruktura, cloud, zařízení i AI. Každý nález potvrzujeme exploitací, řetězíme do reálné cesty útoku a hodnotíme podle skutečného dopadu — seniorní specialisté, standardy odpovídající cíli.
Zabezpečujeme české technologické firmy, které uspěly ve světě.
Co je penetrační test
Penetrační test (zkráceně pentest) je řízený a předem schválený útok na vaše systémy. Specialista postupuje jako skutečný útočník: hledá slabiny, zneužívá je a ověřuje, kam až se z nich lze dostat. Výsledkem není seznam teoretických rizik, ale doložený přehled toho, co by útočník ve vašich systémech skutečně dokázal, seřazený podle dopadu a s návrhem opravy.
Penetrační testování od insighti je manuální práce seniorních specialistů. Neprodáváme výstup skeneru. Každý nález potvrdíme exploitací, zřetězíme s dalšími do realistické cesty útoku a ohodnotíme podle CVSSv3 na základě prokázaného dopadu, nikoli podle skóre nástroje. Metodika odpovídá cíli: OWASP OTG a ASVS pro webové aplikace a API, OWASP MASVS/MASTG pro mobilní aplikace, OWASP LLM a Agentic Top 10 pro AI systémy; infrastrukturu a cloud testujeme jako cesty útoku — co je dosažitelné a kam to vede.
Kdy penetrační test potřebujete
Důvody, proč firmy penetrační testy poptávají, bývají obvykle čtyři:
- Vyžaduje jej zákazník nebo výběrové řízení. Nezávislý test bývá podmínkou smlouvy nebo zadávací dokumentace.
- Vyžaduje jej regulace nebo audit. NIS2, DORA, ISO 27001 i PCI-DSS bezpečnostní testování vyžadují nebo předpokládají — podrobnosti uvádíme v přehledu penetračního testování pro compliance.
- Chystá se významné vydání nebo změna. Nová aplikace, nové API, migrace do cloudu nebo změna architektury — test před spuštěním je levnější než oprava po incidentu.
- Již se něco stalo. Po incidentu test ověří, zda útočník nemá další cestu dovnitř a zda přijatá opatření obstojí.
Jako pravidelná praxe se penetrační test provádí jednou ročně a po každé významné změně systému.
Penetrační test, sken zranitelností, nebo red team?
| Sken zranitelností | Penetrační test | Red team | |
|---|---|---|---|
| Na co odpovídá | Jaké známé zranitelnosti systém vykazuje? | Co by útočník v systému skutečně dokázal? | Odhalí a zastaví váš tým skutečného útočníka? |
| Jak probíhá | Automatizovaný nástroj porovnává systém se známými vzory. | Specialista ručně hledá slabiny, zneužívá je a řetězí do cesty útoku. | Cílená a skrytá simulace útoku na předem definovaný cíl, s ověřením detekce a reakce. |
| Výstup | Seznam nálezů seřazený podle skóre nástroje, bez ověření. | Ověřené nálezy s doloženým dopadem, závažností dle CVSSv3 a návrhem opravy. | Popis průběhu útoku a hodnocení detekce a reakce vašeho týmu. |
| Kdy zvolit | Průběžná kontrola mezi testy. | Před vydáním, pro zákazníka, regulaci nebo audit. | Když máte bezpečnostní tým a chcete ověřit jeho připravenost. |
Audit kybernetické bezpečnosti je odlišná služba: posuzuje, zda máte zavedena požadovaná opatření a procesy. Penetrační test ověřuje, zda tato opatření obstojí proti skutečnému útoku. Neauditujeme — testujeme, a náš report slouží auditorovi jako důkaz.
Pro finanční sektor regulovaný DORA je zpravodajsky řízenou variantou red teamu TLPT.
Druhy penetračních testů
Co je třeba testovat, závisí na tom, kde běží váš byznys. Vyberte cíl — každá oblast uvádí svůj rozsah a standardy.
Webové aplikace
Business logika, řízení přístupu napříč rolemi, klientský kód. OWASP OTG/ASVS, včetně API.
Zobrazit rozsah
Mobilní aplikace
iOS a Android, prověření aplikace v zařízení i serverového backendu.
Zobrazit rozsah
Síťová infrastruktura
Externí i interní penetrační test sítě — od perimetru po Active Directory, včetně Wi-Fi a ICS/SCADA.
Zobrazit rozsah
Red team
Ověřte, jestli by váš tým skutečného útočníka odhalil a zastavil.
Zobrazit rozsah
Aplikace tlustého klienta
Desktopové aplikace — analýza lokálních dat, operační paměti a API.
Zobrazit rozsah
Zařízení a IoT
Prověření firmwaru, fyzických rozhraní a scénářů fyzického přístupu.
Zobrazit rozsah
Cloud infrastruktura
AWS, Azure i GCP — konfigurace, identity a aplikace.
Zobrazit rozsah
AI a LLM aplikace
LLM aplikace, agenti, RAG, MCP nástroje — co model dosáhne a co smí provést. OWASP LLM a Agentic Top 10.
Zobrazit rozsahPenetrační testy se dále liší tím, kolik informací tester předem dostane. Black box napodobuje útočníka zvenčí bez jakýchkoli znalostí, grey box pracuje s účtem běžného uživatele a dává nejrealističtější obraz za nejkratší čas, white box s dokumentací a přístupy umožňuje nejhlubší pokrytí. Vhodný přístup doporučíme na úvodním hovoru.
Jak penetrační test probíhá
Penetrační testy vedeme v pěti krocích — od nezávazného úvodního hovoru po retest.
-
Úvodní hovor a rozsah
Projdeme vaše prostředí a cíle testu a navrhneme pevný rozsah, přístup (black, grey nebo white box) a cenu. Hovor je nezávazný.
-
Příprava
Rozsah odsouhlasíme písemně, určíme testovací okno, kontaktní osoby a postup pro případ, že narazíme na kritický nález nebo na stopy skutečného útoku.
-
Testování a exploitace
Specialisté ručně hledají slabiny, potvrzují je exploitací a řetězí do realistických cest útoku. U produkčních systémů koordinujeme postup s vaším provozním týmem.
-
Report a předání
Report prochází peer-review druhým seniorním testerem. Výsledky s vámi projdeme a zodpovíme dotazy vašich vývojářů a administrátorů.
-
Retest
Po nasazení oprav ověříme, že zranitelnosti byly skutečně odstraněny.
Co dostanete
Report ve čtyřech částech: shrnutí rozsahu a metodiky, manažerské shrnutí s odborným posudkem stavu zabezpečení, přehled nálezů seřazený podle závažnosti a podrobné nálezy — každý s popisem, dopadem, závažností dle CVSSv3, kroky k reprodukci a konkrétním návrhem opravy.
Chcete vidět, jak vypadá náš výstup? Pošleme vám ukázkový report.
Výstupy z testů využijete pro NIS2, DORA, ISO 27001 i PCI-DSS.
Kolik penetrační test stojí?
Cena se odvíjí od rozsahu — počtu aplikací, rolí a endpointů, hostů a služeb nebo vstupních bodů AI — a od hloubky testu (průchod OWASP Top 10 vs. úplný OTG, úroveň ASVS L1–L3). Každá oblast výše uvádí, podle čeho se její rozsah stanovuje; konkrétní rozsah a cenu potvrdíme na krátkém hovoru.
Jak vybrat dodavatele penetračních testů
Nabídky penetračních testů se na první pohled liší hlavně cenou. Podstatné rozdíly jsou jinde:
- Ruční test, nebo výstup skeneru? Zeptejte se, zda dodavatel nálezy ověřuje exploitací. Report plný „potenciálních zranitelností“ je výstup nástroje, nikoli penetrační test.
- Kdo bude skutečně testovat? Seniorita testera rozhoduje o tom, zda se najdou chyby v business logice a řízení přístupu, které žádný nástroj neodhalí.
- Pojmenovaná metodika. Rozsah má odpovídat uznávanému standardu (OWASP ASVS, MASVS, OTG), aby byl test opakovatelný a srovnatelný.
- Ukázkový report. Před objednávkou si vyžádejte ukázku — z ní poznáte, zda s výstupem budou umět pracovat vaši vývojáři i auditor.
- Retest po opravě. Ověřte si, zda dodavatel po nasazení oprav přetestuje a potvrdí jejich účinnost.
- Nezávislost. Dodavatel, který nalezené chyby sám opravuje, hodnotí vlastní práci. Nezávislý tester opravu doporučí a následně ověří.
Podle stejných kritérií posuzujeme vlastní práci — rádi je s vámi projdeme na úvodním hovoru.
Náš vhled.
Nejhorší díry bývají zřídka v technologii. Obnova hesla postavená na náhodném tajném identifikátoru uživatele je v pořádku — dokud týž identifikátor nevydá některá okrajová funkce systému.
Často kladené dotazy, vždy zodpovězeny.
Testujete produkční systémy, nebo je třeba připravit zvláštní instanci?
Obojí je možné. Produkce poskytuje nejvěrnější obraz; testovací instance umožňuje invazivnější testy bez dopadu na uživatele. Postup odsouhlasíme před zahájením; u produkce koordinujeme načasování a váš provozní tým je během testu v pohotovosti.
Jaký je rozdíl mezi skenem zranitelností a penetračním testem?
Sken najde známé zranitelnosti podle vzorů; nedokáže je kombinovat ani zneužít. Penetrační test je ruční práce: nálezy potvrzuje exploitací, řetězí je do cesty útoku a dokládá skutečný dopad.
Budou během testování některé naše služby dočasně nedostupné nebo dojde k poškození dat?
Cílem testu není narušit provoz ani poškodit data a potenciálně destruktivní testy předem odsouhlasíme. Reakci systému na exploit nelze vždy předvídat, proto koordinujeme postup s vaším provozním týmem a doporučujeme mít aktuální zálohy.
Jak stanovujete rozsah projektu a cenovou nabídku?
Na krátkém hovoru s vámi projdeme prostředí — počet aplikací, rolí, hostů či vstupních bodů — a navrhneme pevný rozsah a cenu. Hovor je nezávazný.
Jak často provádět penetrační test?
Obvyklou praxí je jednou ročně a po každé významné změně — novém vydání, změně architektury nebo migraci. Některé rámce frekvenci předepisují přímo, například PCI-DSS (požadavek 11.4) nebo DORA u systémů podporujících kritické či důležité funkce.
Jak dlouho penetrační test trvá?
Délka se odvíjí od rozsahu: od několika dnů u jedné aplikace po několik týdnů u rozsáhlých prostředí. Přesný harmonogram uvedeme v nabídce.
Potřebujeme penetrační test kvůli NIS2?
Pokud spadáte pod zákon č. 264/2025 Sb., o kybernetické bezpečnosti, musíte zavést bezpečnostní opatření podle příslušné vyhlášky a být schopni doložit, že fungují. Penetrační test je nejpřímějším technickým důkazem, že obstojí proti skutečnému útoku. Které povinnosti se vás týkají, uvádíme v přehledu penetračního testování pro compliance.
Pojďme to probrat.
Napište nám, co potřebujete otestovat — domluvíme si nezávazný hovor a navrhneme rozsah testu.
Domluvit nezávaznou konzultaci ›